Επανασύνδεση σε VPN των Windows χωρίς τον κωδικό πρόσβασης στην εργασία

Κάθε συνταγή μη επιτηρούμενης επανασύνδεσης φτάνει αργά ή γρήγορα στην ίδια ερώτηση: πού ζει ο κωδικός πρόσβασης. Η δημοφιλής απάντηση είναι η ίδια η ενέργεια της εργασίας, που είναι επίσης το χειρότερο μέρος γι' αυτόν. Υπάρχουν δύο άλλα σχέδια. Ποιο ταιριάζει εξαρτάται από το αν το μηχάνημα μπορεί να πιστοποιηθεί χωρίς άτομο και από το αν ο διακομιστής δέχεται πιστοποιητικά.

Τι αφήνει αναγνώσιμο μια ενέργεια εργασίας

Τα ορίσματα σε μια προγραμματισμένη εργασία είναι μέρος του ορισμού της, όχι μια κρυφή τιμή χρόνου εκτέλεσης. Όποιος μπορεί να διαβάσει την εργασία, να επαναφέρει ένα αντίγραφό της ή να εξαγάγει το XML της βλέπει τη συμβολοσειρά ακριβώς όπως την πληκτρολογήσατε. Κατά την εκτέλεση η ίδια συμβολοσειρά εμφανίζεται στη λίστα διεργασιών. Ένας παράγοντας παρακολούθησης μπορεί να την αντιγράψει σε ένα αρχείο καταγραφής που δεν ελέγχετε ποτέ.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Ελέγξτε πριν υποθέσετε το αντίθετο. Η πρώτη εντολή εκτυπώνει τον πλήρη ορισμό, μαζί με την ενέργεια και τα ορίσματά της. Η δεύτερη δείχνει ποια διαπιστευτήρια έχει αποθηκεύσει στην προσωρινή μνήμη ο τρέχων λογαριασμός, κάτι που έχει σημασία για τα εναλλακτικά σχέδια παρακάτω. Αν ο κωδικός πρόσβασης εμφανίζεται στο XML της εργασίας, η περιστροφή του είναι μόνο το μισό της επισκευής, επειδή η εργασία κρατά ακόμη την παλιά τιμή.

Τι αγοράζει πραγματικά ένα αποθηκευμένο προκοινόχρηστο κλειδί

Add-VpnConnection -L2tpPsk γράφει το κλειδί στην καταχώριση τηλεφωνικού καταλόγου της σύνδεσης αντί σε μια εργασία. Αυτή είναι μικρότερη επιφάνεια έκθεσης από μια ενέργεια εργασίας. Παραμένει όμως ένα μυστικό που ανακτάται, επειδή ένας διαχειριστής στο μηχάνημα μπορεί να διαβάσει τον τηλεφωνικό κατάλογο.

Για μια σύνδεση εργαστηρίου μεταξύ δύο μηχανημάτων που ελέγχετε, αυτή η ανταλλαγή μπορεί να είναι αποδεκτή. Για διαπιστευτήρια χρήστη σε κοινόχρηστο τελικό σημείο δεν είναι. Το να το αποκαλείτε κρυπτογραφημένη αποθήκευση δεν αλλάζει ποιος μπορεί να το διαβάσει. Ο τηλεφωνικός κατάλογος είναι αρχείο διαμόρφωσης. Σχεδιάστε για το άτομο που μπορεί να το ανοίξει, όχι μόνο για το άτομο που μπορεί να συνδεθεί ως ο χρήστης.

Τα διαπιστευτήρια Winlogon αφαιρούν το μυστικό και προσθέτουν εξάρτηση

-UseWinlogonCredential ακολουθεί άλλη διαδρομή. Η σύνδεση πιστοποιείται με MSCHAPv2 έναντι των διαπιστευτηρίων του συνδεδεμένου χρήστη. Δεν αποθηκεύεται τίποτα επιπλέον για αυτόν τον λογαριασμό.

Η εξάρτηση που προσθέτει είναι σημαντική. Πρέπει να υπάρχει διαδραστική σύνδεση για δανεισμό, κάτι που αποκλείει λογαριασμό υπηρεσίας και εργασία πριν από τη σύνδεση. Η σύνδεση κληρονομεί επίσης ό,τι μπορούν να φτάσουν τα διαπιστευτήρια αυτού του χρήστη στον διακομιστή. Διαβάστε τον διακόπτη ως δήλωση για το από πού προέρχονται τα διαπιστευτήρια, όχι ως ρύθμιση ασφαλείας. Αλλάζει την πηγή και τίποτα στον τρόπο με τον οποίο ο διακομιστής εξουσιοδοτεί τη συνεδρία στη συνέχεια.

Η πιστοποίηση με πιστοποιητικά κλιμακώνεται επειδή δεν αποθηκεύεται τίποτα

Όπου ο διακομιστής υποστηρίζει EAP-TLS, ένα πιστοποιητικό μηχανήματος αφαιρεί εντελώς το κοινόχρηστο μυστικό και η ανάκληση γίνεται στο επίπεδο του πιστοποιητικού. Μια εργασία που εκτελείται ως SYSTEM μπορεί να παρουσιάσει αυτό το πιστοποιητικό χωρίς διαδραστική σύνδεση. Επιβεβαιώστε ότι ο διακομιστής δέχεται πιστοποίηση με πιστοποιητικά πριν χτίσετε πάνω σε αυτήν. Ένα σχέδιο που εξαρτάται από μη υποστηριζόμενη μέθοδο είναι σχέδιο και όχι λύση. Στη συνέχεια αποφασίστε πού ζει το ιδιωτικό κλειδί: στο χώρο αποθήκευσης μηχανήματος για ταυτότητα συσκευής, στο χώρο αποθήκευσης χρήστη για ένα άτομο.

Όπου δεν μπορούν να αποφευχθούν όνομα χρήστη και κωδικός πρόσβασης, αποθηκεύστε τα στο Credential Manager περιορισμένα στον λογαριασμό της ίδιας της εργασίας. Αφήστε τον πελάτη να τα διαβάζει από εκεί αντί από ένα όρισμα. Ένα μυστικό που η εργασία μπορεί να ανακτήσει χωρίς να το εκτυπώσει είναι μικρότερο πρόβλημα από ένα γραμμένο στον ορισμό της.

Ελέγξτε τα τεχνουργήματα πριν από την επόμενη περιστροφή

Κοιτάξτε τι αποθηκεύεται και όχι τι σκοπεύατε. Ελέγξτε τον τηλεφωνικό κατάλογο ανά χρήστη, το αντίγραφο για όλους τους χρήστες, το XML της εργασίας και κάθε σενάριο που καλεί την εντολή κλήσης. Στη συνέχεια επιβεβαιώστε ότι το πιστοποιητικό ή τα αποθηκευμένα διαπιστευτήρια περιορίζονται στον λογαριασμό που χρησιμοποιεί η εργασία, επειδή διαπιστευτήρια που αποθηκεύονται για τον διαδραστικό λογαριασμό σας είναι αόρατα στο SYSTEM.

Καταγράψτε τη μέθοδο πιστοποίησης και τον λογαριασμό στις σημειώσεις της ίδιας της εργασίας. Το επόμενο άτομο που θα αλλάξει την πολιτική του διακομιστή πρέπει να ξέρει ποιο σχέδιο ισχύει. Αυτή η απάντηση δεν φαίνεται μόνο από τη συμπεριφορά επανασύνδεσης. Γράψτε την εκεί όπου θα κοιτάξει πρώτα η επόμενη περιστροφή.